Nuevo Backdoor.Tofsee-2 que es lanzado por un fichero de cero bytes !

---

A través de un fichero de cero bytes existente en la carpeta de inicio, lanzan un EXE infectado asociado al mismo, el cual pasamos a controlar como TOFSEE-2 a partir del ELISTARA 40.06 de hoy.



El preanalisis de virustotal del EXE en cuestión, ofrece el siguiente informe:

https://www.virustotal.com/es/file/5507e5b39bebd714f14c4bf31f42c6ec2ba0ae46def0e709ec3202b2e175739b/analysis/1541674435/



Como puede verse en dicho informe, algunos AV, como el de Microsoft, lo consideran backdoor, en su caso

como Backdoor:Win32/Tofsee!rfn





Cabe indicar que en la muestra ensayada ha creado el fichero de 0 bytes en



%WinIni%\ cunaz8di0i.9wfm7 (de 0 bytes)



y lo asocia en este caso con el EXE de



%Datos de Programa% (Configuración Local)\ Microsoft\ audiohd.exe



Muy ingenioso lo de utilizar un fichero de cero bytes para lanzar un malware ... !



Si se detecta y elimina el EXE indicado, puede convenir eliminar también el de cero bytes que haya en %WinIni%, para evitar mensajes de error en el inicio, al no encontrar el fichero asociado, que es el que se ha eliminado al ser malware.





saludos



ms, 8-11-2018